Éléments de réponse aux questions de compréhension

Chapitre 4

1. Deux arguments. Chaque sous-commande se traduit en une requête HTTP vers l'API. Et la CLI doit connaître l'adresse du serveur comme n'importe quel client distant : elle n'a aucun accès local privilégié. Conséquence : tout geste manuel est scriptable à l'identique, et l'automatisation est le cas nominal.

2. Étape 1, TLS, échec de négociation. Étape 2, analyse HTTP, requête malformée. Étape 3, vérification du token, 403 d'identité. Étape 4, évaluation des policies, 403 de droits. Étape 5, routage, 404 si le chemin n'a pas de montage. Étape 6, traitement et barrière, erreur du moteur ou 503 si le serveur est scellé. Étape 7, réponse et bail, échec d'enregistrement, rare. Étape 8, audit : si aucun dispositif n'écrit, la requête est refusée.

3. L'état de santé et l'état de scellement : un répartiteur doit pouvoir sonder un serveur scellé, donc incapable de vérifier un token. Le descellement : on ne peut exiger un token d'un serveur qui ne déchiffre rien. Les chemins de connexion : leur fonction est de transformer une preuve en token, exiger un token en amont serait circulaire.

4. C'est le préfixe dédié qu'un montage reçoit dans le stockage, hors duquel il ne peut ni lire ni écrire. Trois conséquences : la désactivation détruit les données de la vue, la sauvegarde est nécessairement globale, et un moteur compromis ne peut pas lire les données des autres.

5. Barrière : confidentialité et intégrité. Stockage : durabilité et disponibilité. Le voleur de sauvegarde emporte du chiffré intègre, inutilisable sans la hiérarchie de clés, sauf s'il a aussi emporté le matériel de scellement. C'est le scénario que la règle de séparation interdit.

6. « La barrière est le verrou des données, le seal est le verrou de la clé du verrou. » Au démarrage, le serveur trouve ses données et son matériel de clés chiffrés, et ne peut rien en faire. L'accès n'existe qu'après une opération explicite : c'est une action, jamais un état par défaut.

7. Il tient le registre des baux, honore les renouvellements et exécute les révocations à l'échéance, ce qui pour un credential dynamique signifie détruire le compte côté cible. Implication de sécurité : le temps devient une dépendance, une horloge fausse faussant les échéances. Implication d'exploitation : chaque bail est un objet vivant, dont le volume se surveille.

8. Les valeurs sensibles sont remplacées par leur empreinte HMAC calculée avec le sel du dispositif : le journal trace l'accès sans contenir le secret. L'empreinte étant déterministe, on peut calculer celle d'une valeur connue et la rechercher : « qui a lu cette valeur, quand » devient une question à réponse exacte.

9. Vault refuse de traiter les requêtes : il préfère l'arrêt à l'action sans trace. Cela révèle une hiérarchie de conception, l'intégrité de la traçabilité passant avant la disponibilité, et impose la règle correspondante : jamais un dispositif unique, et une supervision de leur capacité d'écriture.

Mise en pratique du chapitre 4. 1. La requête traverse TLS et l'analyse, puis le routeur la reconnaît comme chemin non authentifié et la sert directement. Ni magasin de tokens, ni policies, ni moteur, ni bail. 2. Le token est valide, l'étape 3 est franchie, mais aucune règle n'accorde le chemin demandé : refus à l'étape 4, 403 de droits. Rien n'atteint le montage, aucun bail, et l'audit enregistre la tentative avec l'identité, signal qu'une détection exploitera. 3. Arrêt à l'étape 3, le magasin constatant l'expiration ; 403 également, d'où le réflexe de vérifier le token avant de soupçonner les policies. Croix sur le schéma : la mémoire du processus, seul endroit où existent le clair et les clés.

Chapitre 5

1. Les menaces couvertes, les exclusions explicites, les hypothèses de validité. Les exclusions sont un cahier des charges parce que chacune désigne un pan de sécurité qui reste à votre charge. Le plan de ce cours en est la réponse point par point.

2. Écoute et altération des échanges, par TLS. Lecture et altération du stockage, par la barrière et son chiffrement authentifié. Accès sans identité, par l'authentification mécanique. Accès au-delà des droits, par les policies à refus par défaut. Le tout journalisé sous peine d'arrêt.

3. Frontière 1, client vers serveur : TLS, authentification, policies ; au-delà, le modèle s'arrête. Frontière 2, serveur vers stockage : la barrière, asymétrique, la disponibilité ne la traversant pas protégée. Frontière 3, processus vers hôte : aucune protection par construction, l'hôte étant dans la zone de confiance ultime. Sa particularité est qu'elle n'existe pas.

4. Au repos, la barrière. En transit, TLS. En cours d'utilisation, rien d'autre que l'intégrité de l'hôte. Cible rationnelle : la mémoire du processus, seul endroit où l'attaque rapporte du clair, et tout le clair d'un coup.

5. L'hôte et la mémoire, traités en partie X. Le client après livraison, au chapitre 40, avec les durées courtes et Transit. L'administrateur aux pleins pouvoirs, par la gouvernance des chapitres 8, 11 et 30. Les systèmes d'identité amont, en partie IV. La disponibilité, aux parties VIII et XI.

6. Il obtient exactement ce que les policies du token accordent. L'arrêtent la portée des policies, les durées de vie, les restrictions d'origine, la détection dans l'audit et la révocation préparée. C'est le profil le plus travaillé parce qu'il est le plus fréquent et le plus sensible aux décisions prises avant l'incident.

7. Parce que la mémoire est lisible : clés de la barrière, donc l'intégralité des données, et l'attaquant peut en outre altérer binaire et configuration. Trois plans subsistent : prévenir par un hôte dédié et durci, détecter par un audit expédié hors de sa portée, borner dans le temps par des durées courtes. S'y ajoute la réponse : tout ce que ce Vault a su doit tourner.

8. Sauvegardes et matériel de scellement ne doivent jamais résider dans le même domaine de compromission. Scénario prévenu : le vol simultané d'une copie du stockage et du quorum, qui donne un Vault portable et transforme le profil le mieux couvert du modèle en compromission totale.

9. Système sain et durci ; mémoire jamais sur disque, vidages interdits et, avec le stockage intégré, verrouillage mémoire et échange désactivés ; horloge juste ; TLS vérifié des deux côtés ; quorums vivants. Deux violations : une horloge fausse fait vivre des credentials au-delà de leur terme ; un client qui ne vérifie pas le certificat rend au profil intercepteur tout ce que TLS lui retirait.

Mise en pratique du chapitre 5. 1. a) En périmètre, arrêté par la barrière ; l'encadrement complémentaire est la séparation d'avec le matériel de scellement. b) Hors périmètre, exclusion hôte et mémoire ; encadrement par prévention, audit déporté et durées courtes. c) En périmètre pour l'action dans Vault : le token n'obtient que ses policies, les bornes d'origine peuvent le bloquer, la durée le fait expirer, l'audit le trahit ; le vol initial, lui, s'est produit hors périmètre. d) Hors périmètre, identité amont ; encadrement par le durcissement du fournisseur, le choix des méthodes et les bornes côté Vault. e) En périmètre, arrêté par TLS, sous l'hypothèse de vérification des deux côtés. f) Hors périmètre, administrateur légitime ; réponse par la gouvernance, les droits découpés et l'audit hors d'atteinte. 2. Portée des policies, avant. Durée, avant. Bornes d'origine, avant. Détection dans l'audit, pendant. Révocation : préparée avant, exécutée pendant, complétée après par la rotation de ce qui a pu être lu. 3. Le chiffrement du stockage ne couvre que l'état au repos. En cours d'utilisation, clair et clés vivent en mémoire, et la frontière processus vers hôte n'a aucune protection : root sur l'hôte égale totalité des secrets. Le stockage chiffré déplace donc l'attaque vers l'hôte, dont le durcissement est la contrepartie exacte du chiffrement. 4. Refus. On réunirait copie et quorum dans un même domaine de compromission, et le voleur au repos, contre lequel la garantie est la plus forte, deviendrait le seul à tout gagner d'un coup. Les fragments se gardent séparément chez des détenteurs distincts, avec registre ; les sauvegardes ailleurs, sous d'autres droits.

Chapitre 6

1. Il ajoute l'intégrité et l'authenticité : toute altération fait échouer le déchiffrement au lieu de livrer des données corrompues. Indispensable pour un coffre, où accepter une policy trafiquée reviendrait à exécuter la volonté de l'attaquant sous les habits de la légitimité.

2. Le nonce est une valeur jointe à chaque chiffrement, qui doit être unique pour une clé donnée. Le nonce n'a rien d'un secret : c'est une garantie de « jamais deux fois ». Sa réutilisation révèle la combinaison des clairs concernés et peut permettre des falsifications. Vault les génère en interne, un par écriture, et l'utilisateur n'en manipule jamais.

3. Encodage : transformation réversible sans clé, qui ne protège rien. Hachage : empreinte à sens unique sans clé, pour l'intégrité et la comparaison. HMAC : empreinte à clé, que seul son détenteur calcule, employée par l'audit pour tracer et rechercher sans exposer. Chiffrement : transformation réversible avec clé, employée par la barrière et par TLS.

4. Sans clé, une empreinte nue serait précalculable : un attaquant hacherait des valeurs devinées et les reconnaîtrait dans le journal. Le sel l'en empêche. Et le sel par dispositif cloisonne : les empreintes d'un journal ne correspondent pas à celles d'un autre, donc un journal volé ne sert pas de table de correspondance ailleurs.

5. La DEK chiffre les données, la KEK chiffre la DEK, on stocke la DEK chiffrée avec les données et l'on garde précieusement la seule KEK. Bénéfices : rotation économique, changer la KEK ne re-chiffrant que des clés, et contrôle central, puisque le pouvoir de déchiffrer se décide et se journalise là où vit la KEK. Dans Vault, le motif s'emboîte des données au seal, et Transit le rejouera côté applicatif.

6. Un nouveau term est ajouté au keyring. Les écritures suivantes l'utilisent, les entrées existantes restent lisibles sous leur term d'origine et migrent au fil de leurs réécritures. Les fragments ne bougent pas : l'opération vit à l'étage du keyring. En ligne, sans quorum, sans indisponibilité.

7. Le mécanisme de scellement protège la clé racine, qui protège le keyring, qui protège les données. Avec Shamir, la clé racine n'est stockée nulle part et se reconstitue en mémoire depuis k fragments : la racine de confiance, ce sont ces personnes et leur garde. Avec l'Auto Unseal, elle est stockée mais chiffrée par la clé d'un service externe, chez qui la racine a déménagé.

8. Rotate porte sur la clé de chiffrement des données, sans quorum, en ligne, données anciennes intactes et fragments inchangés. Rekey porte sur la clé racine et ses parts, exige le quorum des fragments actuels, se déroule en cérémonie, ne touche pas aux données et invalide les anciens fragments sur le cluster courant. Point commun contre-intuitif : aucun des deux n'agit sur les copies passées.

9. TLS tient la frontière du transit, clients vers serveur et nœuds entre eux ; la barrière tient celle du repos. Sans TLS, tokens et secrets circulent en clair malgré un stockage chiffré. Sans barrière, le voleur de disque lit tout malgré TLS. Deux frontières, deux mécanismes, aucune substitution.

Mise en pratique du chapitre 6. 1. Les trois empreintes montrent que l'empreinte nue est recalculable par quiconque, que deux clés différentes produisent des empreintes sans rapport pour la même valeur, et que l'encodage se défait sans clé. C'est la démonstration matérielle du cloisonnement des journaux et de la différence entre encoder et protéger. 2. a) Rekey : le départ d'un détenteur exige une nouvelle clé racine et de nouveaux fragments ; on en profite pour revalider les paramètres et le registre. b) Rotate planifié : l'hygiène de la clé des nouvelles écritures ne mobilise ni quorum ni cérémonie. c) Rekey en urgence, les fragments étant suspects ; puis traiter le passé, les fragments photographiés ouvrant toujours les snapshots de leur époque. d) Rekey : les paramètres n et k sont ceux de la redistribution. e) Rotate : exhiber le nouveau term et la planification suffit. f) Ni l'un ni l'autre : aucune commande ne périme le passé. Il faut détruire les anciens snapshots ou les anciens fragments, registre à l'appui. 3. Le maillon du seal vers la clé racine se renouvelle par le choix du seal et, pour les parts, par rekey. Celui de la clé racine vers le keyring, par rekey. Celui du keyring vers les données, par rotate.